Kurumsal güvenliğin yarım asırlık varsayımı şuydu: içerisi güvenli, dışarısı düşman. Ağın çevresine bir duvar örün, içeridekine güven. Bu model, herkesin aynı binada olduğu çağda işledi. Sonra bulut geldi, veri merkezi kiralanmaya başladı, herkes evinden bağlandı, servisler üçüncü taraf platformlara taşındı. Duvar hâlâ duruyorsa bile artık kapıları yok — çünkü işin çoğu duvarın dışında yapılmaya başladı. Sıfır güven mimarisi, bu çöküşün üzerine kurulmuştur: çevre güveni kabul etme, her isteği doğrula.

Bu yazıda ilkeleri, maliyeti ve küçük bir ekibin bu mimariye gerçekçi biçimde nasıl başlayacağını anlatacağız. Büyük sözler yerine, pazartesi uygulanabilir adımlar.

Yeni ilke: hiç kimseye güvenme, herkesi doğrula

Sıfır güvenin tek cümlelik özeti budur. Kullanıcı şirket ağındaysa diye yetki verilmez; kullanıcı kimliği doğrulanır, cihaz durumu denetlenir, erişilecek kaynak tek tek belirlenir. "Ağda olma" bir yetki değildir; kimlik, cihaz ve bağlam birlikte doğrulanmadan hiçbir kapı açılmaz. Saldırgan içeride bir makine ele geçirse bile, o makinenin erişebileceği kaynaklar en baştan kısıtlıdır. Yatay hareket — yani sızdıktan sonra ağda gezinme — bu mimaride zorlaşır.

Klasik:  VPN → iç ağ → tüm servisler (bir şifre = tüm anahtarlar)
Sıfır güven:  kimlik + cihaz + bağlam → tek servis, süreli erişim
Doğrulama:  oturum kısa ömürlü, cihaz sertifikalı, günlükler merkezi

Maliyeti ve gerçekçi yol haritası

Bu mimarinin bedeli vardır: her servis çağrısında kimlik doğrulaması, cihaz envanteri, merkezi günlük, politika motoru. Büyük kurumlar için bunu sağlayan hazır ürünler var; küçük ekipler için ise yol haritası daha mütevazıdır. Birincisi, kimlik doğrulamasını uygulama düzeyine taşıyın; VPN'e güvenmeyi bırakın, her servisin kendine yetkilendirmesi olsun. İkincisi, servisten servise çağrılarda karşılıklı kimlik doğrulaması kurun; mTLS bugün bile en pratik çözümdür. Üçüncüsü, erişimleri süreli verin; kalıcı yetki, sıfır güvenin düşmanıdır.

Bunları tek seferde yapmayın: en kritik servis için politika yazın, bir ay çalıştırın, sürtünme nerede olduğunu görün, sonra yayın. Sıfır güven büyük bir patlama değil, daralan bir çemberdir. Ölçmeyi de ihmal etmeyin: erişim kararlarının günlüğü, politika motorunuzun hem kanıtı hem de en iyi öğretmenidir. Haftalık gözden geçirmede "en çok reddedilen istek neydi" sorusu, hem politika hatalarını hem gerçek saldırı denemelerini aynı sayfada gösterir.

Kültür değişimi, teknoloji değişiminden zor

En büyük engel teknik değil, alışkanlıktır. "İçerideyiz, sorun olmaz" cümlesi on yılların rahatlığıdır ve kimsenin buna ekstra iş vermek istemez. Bu yüzden sıfır güven, bir proje değil, bir geçiş sürecidir: en kritik servisten başlayın, erişimi politika ile tanımlayın, geri kalanı için takvim belirleyin. Kullanıcı deneyimini iyileştirdiğini gösterin; kısa ömürlü, otomatik yenilenen oturumlar, parola yönetiminden daha rahattır. Yöneticilerin de bu geçişin içinde olması şarttır: sıfır güven, "bizim sistemde olmaz" cümlesini söyleyen yöneticinin bile hesabına politika uygulayınca anlamlıdır; istisnasız doğrulama, sıfır güvenin tamamıdır.

Çevre modeli öldü; onu öldüren, çalışma biçimimizdeki değişimdi. Yerine geçen doğrulama kültürü, ilk bakışta bürokrasi gibi görünür ama pratikte özgürlüktür: doğru kimlik ile her yerden, doğru kaynağa, doğru süre ile erişim. Perimeter öldü, yaşasın doğrulama.